TI WooCommerce Wishlist : faille XSS stockée jusqu'à la 2.14.0, correctif non précisé

En bref

• Produit : TI WooCommerce Wishlist, extension WordPress pour WooCommerce éditée par TemplateInvaders.
• Versions affectées : toutes les versions jusqu'à la 2.14.0 incluse.
• Version corrigée : non précisé par l'éditeur à la date de l'avis.
• Sévérité : moyenne, score CVSS 6.5.
• CVE : CVE-2026-120855.
• Exploitation active : inconnu.
• Date de l'avis : 9 novembre 2026.

Une vulnérabilité de type cross-site scripting (XSS) stockée a été publiée le 9 novembre 2026 dans la base NVD pour l'extension TI WooCommerce Wishlist. Elle porte l'identifiant CVE-2026-120855 et reçoit un score CVSS de 6.5, soit une sévérité moyenne. L'avis indique que toutes les versions jusqu'à la 2.14.0 sont concernées. Aucune version corrigée n'est mentionnée dans les sources consultées au moment de la rédaction.

Une faille XSS stockée permet d'enregistrer un contenu malveillant sur le site, qui est ensuite exécuté dans le navigateur des personnes qui consultent la page concernée. Selon le contexte, cela peut servir à détourner une session, à afficher un contenu frauduleux ou à rediriger des visiteurs. L'avis ne détaille pas les conditions d'exploitation, et la vulnérabilité ne figure pas, à ce jour, dans le catalogue des failles activement exploitées de la CISA.

Qui est concerné ?

Sont concernés les sites WordPress équipés de WooCommerce sur lesquels l'extension TI WooCommerce Wishlist est installée, dans une version égale ou antérieure à la 2.14.0. Cette extension ajoute une liste de souhaits aux boutiques en ligne ; elle est largement diffusée selon sa fiche sur le répertoire officiel WordPress.org.

Les boutiques qui ont désactivé l'extension sans la supprimer restent à surveiller : ses fichiers sont toujours présents sur le serveur. Les agences et les freelances qui maintiennent plusieurs boutiques WooCommerce ont intérêt à inventorier rapidement les sites qui l'utilisent.

Que faire ?

• Vérifier la version installée de TI WooCommerce Wishlist dans l'administration WordPress, rubrique Extensions.
• Mettre à jour vers une version corrigée dès que l'éditeur en publie une, en surveillant la fiche WordPress.org et l'avis Patchstack.
• En attendant, si la liste de souhaits n'est pas indispensable, désactiver puis supprimer l'extension.
• Contrôler les journaux et les contenus enregistrés par l'extension à la recherche de scripts ou de liens inattendus.
• En cas de compromission avérée, restaurer une sauvegarde saine antérieure à l'incident, puis changer les mots de passe des comptes administrateurs.

Chez Sentinelo, les contrôles de sécurité WordPress sont croisés avec WPScan et exécutés chaque semaine ainsi qu'à la demande.

Sources

• NVD : fiche CVE-2026-120855 (avis de référence, score et versions affectées).
• Patchstack : avis sur la faille XSS de TI WooCommerce Wishlist (recoupement).
• WordPress.org : fiche de l'extension TI WooCommerce Wishlist (suivi des versions publiées).